Dotaz: SElinux - spuštění programu ze snmpd

[Michal Ludvig]

Mám tady na RHEL6 skript na který kontroluje stav HP SmartArray RAID pole, tento skript je spouštěn ze snmpd daemona, tohle mám v snmpd.conf:

extend hp-smartarray /usr/local/sbin/check-hp-smartarray.pl

Ten skript je v pořádku spuštěn, při svém běhu spustí /usr/sbin/hpacucli a v tom začnou problémy se SElinuxem. Ten hpacucli se snaží spustit /opt/compaq/hpacucli/bld/.hpacucli což se nepovede protože context toho souboru je system_u:object_r:usr_t:s0. Změnil jsem to na bin_t čímž jsem se dostal o fous dál, ale teď zase hpacucli nemůže vytvořit nějaké dočasné soubory, protože běží v kontextu snmpd_t. No prostě klasický SElinux horor.

Je nějaká možnost změnit před spuštěním /usr/sbin/hpacucli kontext na unconfined_t nebo pro tento program SElinux vypnout?

Zkoušel jsem sudo /usr/sbin/hpacucli s tímhle v /etc/sudoers:

root ALL=(ALL) TYPE=unconfined_t ROLE=unconfined_r NOPASSWD: ALL

ale to při spuštění z check-hp-smartarray.pl skončí s chybou:

sudo: unable to open audit system: Permission denied

Zkoušel jsem runcon root:system_r:unconfined_t:s0-s0:c0.c1023 /usr/bin/hpacucli což pro změnu skončí s chybou:

runcon: invalid context: root:system_r:unconfined_t:s0-s0:c0.c1023: Permission denied

i když při spuštění ze shellu to funguje.

Nechci úplně vypnout SElinux, ani nemám důvěru k řešením navrhovaným audit2allow (prakticky mi doporučuje povolit SNMP kontextu spuštění čehokoliv a zápis kamkoliv). Jen bych chtěl nějak funkčně spustit hpacucli ze snmp daemona.

Nemáte nějaký tip?

Na otázku zatím nikdo bohužel neodpověděl.